Google은 AI 기술을 사용하여 콘텐츠를 사용자의 기본 언어로 번역합니다. AI 번역에는 오류가 있을 수 있습니다.

SOAR 활동 모니터링

다음에서 지원:

Google SecOps SOAR

이 가이드는 감사 및 규정 준수 목적으로 Google Security Operations 플랫폼의 SOAR 측면에서 사용자 활동을 모니터링해야 하는 보안 관리자 및 보안 분석가를 대상으로 합니다. 다양한 API 버전에서 작업을 로깅하는 방법과 이러한 감사 로그를 찾을 수 있는 위치를 설명합니다. 이러한 로그를 이해하면 책임 소재를 명확히 하고 시스템 내에서 취한 조치의 명확한 추적을 제공할 수 있습니다.

시작하기 전에

시작하기 전에 다음과 같이 감사 로그에 액세스할 수 있는 필요한 권한이 있는지 확인하세요.

Google SecOps SOAR 설정에서 감사 로그를 보려면 Identity and Access Management (IAM) 권한 그룹에 SettingsId 권한이 포함된 역할이 필요합니다.
Google Cloud 콘솔의 로그 탐색기에서 로그를 보려면 Cloud Logging에 액세스할 수 있는 적절한 IAM 역할(예: roles/logging.viewer)이 필요합니다.

주요 용어

감사 로그: 작업의 감사 추적을 제공하는 Google SecOps 내 이벤트 기록입니다.
기존 SOAR API: Google SecOps에서 사용되는 이전 API 프레임워크를 말하며, Swagger를 사용하여 문서화되기도 합니다.
Chronicle API: Google Cloud 인프라를 기반으로 구축된 최신 API를 의미합니다.
Cloud Logging: Google SecOps 감사 로그가 저장되는 Google Cloud 중앙 집중식 로깅 서비스입니다. Google Cloud 콘솔의 로그 탐색기를 통해 액세스할 수 있습니다.

다양한 API의 감사 로깅 이해

Google SecOps는 기존 SOAR API를 사용하여 작업을 수행했는지 아니면 Chronicle API를 사용하여 작업을 수행했는지에 따라 사용자 활동을 다르게 로깅합니다.

기존 API 감사 로그

기존 SOAR API를 통해 실행된 작업에는 다음과 같은 특정 감사 동작이 있었습니다.

감사 대상 작업: 변경 또는 데이터 내보내기와 관련된 작업만 기록되었습니다. 여기에는 다음이 포함됩니다.
- 생성 중
- 수정
- 삭제 중
- 데이터 내보내기
감사되지 않은 작업: ReadOnly/GET API 호출은 기존 API 프레임워크에서 감사되지 않습니다.

이러한 기존 감사 로그는 Google SecOps 플랫폼의 감사 페이지에서 액세스할 수 있습니다.

Chronicle API 감사 로그

Google Cloud로의 SOAR 마이그레이션 2단계의 일환으로 SOAR 권한을 Cloud IAM으로 마이그레이션하면 Google Cloud 에서 SOAR 감사 로그를 사용할 수 있습니다. 여기에는 Google SecOps의 모든 사용자 작업과 최신 Chronicle API에 대한 호출이 포함됩니다. 2026년 11월 30일까지 기존 SOAR API에 이루어진 모든 호출은 Google SecOps 플랫폼의 감사 페이지에서 기존 API 감사 로그로 계속 액세스할 수 있습니다.

Chronicle API를 사용하여 이루어진 모든 API 호출은 자동으로 감사됩니다. 이러한 감사 로그는 Google Cloud 프로젝트의 Cloud Logging에서 확인할 수 있습니다. 이러한 로그를 이전하고 액세스하는 방법에 대한 자세한 내용은 SOAR 감사 로그 이전을 참고하세요.

감사 로그 액세스

감사 로그에 액세스하는 방법은 기존 SOAR API의 로그를 찾는지 아니면 Chronicle API의 로그를 찾는지에 따라 다릅니다.

기존 API 감사 로그 액세스

Google SecOps 플랫폼의 감사 페이지에서 기존 API를 사용하여 수행된 작업의 감사 기록을 확인하고 필터링할 수 있습니다.

감사 페이지를 열려면 설정 > SOAR 설정 > 고급 > 감사로 이동합니다.

주요 사용자 활동 측정항목 보기

감사 페이지에는 다음과 같은 주요 사용자 활동 측정항목이 표시됩니다.

가장 일반적인 활동
가장 일반적인 해상도
가장 활동이 많은 사용자
가장 활동이 많은 주소
가장 일반적인 브라우저

활동 목록 보기 및 필터링

감사 페이지에서 사용자, 수, 그룹별로 활동 목록을 필터링하여 특정 활동을 찾을 수 있습니다.

활동 세부정보를 보려면 다음 단계를 따르세요.

자세한 정보가 포함된 활동 세부정보 측면 드로어를 열려면 행에서 자세히 보기를 클릭합니다. 이 뷰에는 다음 정보가 포함됩니다.
- 시간: 활동 시간입니다.
- 사용자: 활동을 수행한 사용자입니다.
- 모듈: 영향을 받는 시스템 모듈입니다.
- 활동 유형: 수행된 작업입니다.
- 주소: 활동이 시작된 IP 주소입니다.
- 브라우저: 활동에 사용된 브라우저입니다.
- 화면 크기: 활동에 사용된 화면 해상도입니다.
새 활동 값 또는 이전 활동 값에서 정보를 보려면 필요한 활동 값을 클릭합니다.
새 활동 값과 이전 활동 값을 보려면 관련 활동 행을 클릭하고 전환 버튼을 ON 위치로 클릭합니다.

JSON 뷰어에서 새 활동 값과 이전 활동 값을 나란히 표시하여 더 효율적으로 조사할 수 있습니다.

Cloud Logging에서 Chronicle API 감사 로그 액세스

Google Cloud 콘솔을 엽니다.
탐색 메뉴에서 로깅 > 로그 탐색기로 이동합니다.
Google SecOps 감사 로그를 필터링하려면 쿼리 빌더에서 쿼리를 사용합니다. 예를 들어 resource.type="audited_resource" 및 서비스 이름으로 필터링할 수 있습니다. Chronicle API 감사 로그의 예시 쿼리:
```
resource.type="audited_resource"
protoPayload.serviceName="chronicle.googleapis.com"
```
쿼리를 실행하여 Chronicle API로 생성된 감사 로그를 확인합니다.

문제 해결

이 섹션에서는 사용자 활동을 모니터링할 때 발생하는 일반적인 문제에 대한 안내를 제공합니다.

지연 시간 및 한도

Cloud Logging의 감사 로그는 일반적으로 몇 분 이내에 사용할 수 있지만 지연 시간은 다를 수 있습니다.

오류 해결

로그 액세스에 문제가 있는 경우 다음 표를 참고하세요.

문제	설명	수정
권한 거부됨	로그를 볼 권한이 없음을 나타내는 오류가 표시됩니다.	관리자에게 문의하여 `roles/logging.viewer` IAM 역할 또는 이에 상응하는 역할이 있는지 확인하세요.
로그를 찾을 수 없음	예상되는 감사 로그가 로그 탐색기에 표시되지 않습니다.	쿼리의 기간과 필터를 확인합니다. 올바른 API 유형 (기존 SOAR API와 Chronicle API)의 로그를 찾고 있는지 확인합니다. SOAR 감사 로그 이전 가이드를 확인하여 로그 위치를 확인하세요.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가에게 문의하여 답변을 받으세요.